Windows 10 sandbox как передать файлы

Новая функция песочницы Windows 10 позволяет безопасно тестировать программы и файлы, загруженные из Интернета, запуская их в безопасном контейнере. Его легко использовать, но его настройки хранятся в текстовом файле конфигурации.

Эта функция является частью обновления Windows 10 за май 2019 г. После установки обновления вам также придется использовать выпуски Windows 10 Professional, Enterprise или Education. Оно недоступно в Windows 10 Home. Но, если она доступна в вашей системе, вы можете легко активировать функцию песочницы, а затем запустить ее из меню «Пуск».

Sandbox запустится, сделает копию вашей текущей операционной системы Windows, закроет доступ к вашим личным папкам и предоставит вам чистый рабочий стол Windows с доступом в Интернет. До того, как Microsoft добавила этот файл конфигурации, вы вообще не могли настраивать Sandbox. Если вам не нужен доступ в Интернет, вам обычно приходилось отключать его сразу после запуска. Если вам нужен был доступ к файлам в вашей хост-системе, вам нужно было скопировать и вставить их в песочницу. И, если вы хотели установить определенные сторонние программы, вам нужно было установить их после запуска Sandbox.

Поскольку Windows Sandbox полностью удаляет свой экземпляр при закрытии, вам приходилось проходить этот процесс настройки каждый раз при запуске. С одной стороны, это делает систему более безопасной. Если что-то пойдет не так, закройте песочницу, и все будет удалено. С другой стороны, если вам нужно регулярно вносить изменения, необходимость делать это при каждом запуске быстро разочаровывает.

Чтобы решить эту проблему, Microsoft представила функцию конфигурации для Windows Sandbox. Используя файлы XML, вы можете запустить Windows Sandbox с заданными параметрами. Вы можете ужесточить или ослабить ограничения песочницы. Например, вы можете отключить подключение к Интернету, настроить общие папки с вашей основной копией Windows 10 или запустить сценарий для установки приложений. Варианты немного ограничены в первом выпуске функции песочницы, но Microsoft, вероятно, добавит больше в будущих обновлениях Windows 10.

Как настроить Windows Sandbox

Ваша изолированная копия Windows 10 может иметь доступ к общей папке в операционной системе вашего хоста.

В этом руководстве предполагается, что вы уже настроили Sandbox для общего использования. Если вы еще этого не сделали, вам нужно сначала включить его в диалоговом окне «Функции Windows».

Для начала вам понадобится Блокнот или ваш любимый текстовый редактор — нам нравится Блокнот ++— и пустой новый файл. Вы будете создавать XML-файл для конфигурации. Хотя знакомство с Язык кодирования XML полезно, это не обязательно. Когда у вас есть файл, вы сохраните его с расширением .wsb (например, Windows Sandbox). Двойной щелчок по файлу запустит Sandbox с указанной конфигурацией.

В виде объяснил Microsoft, у вас есть несколько вариантов на выбор при настройке песочницы. Вы можете включить или отключить vGPU (виртуализированный графический процессор), включить или выключить сеть, указать общую папку хоста, установить разрешения на чтение / запись для этой папки или запустить сценарий при запуске.

Используя этот файл конфигурации, вы можете отключить виртуализированный графический процессор (он включен по умолчанию), отключить сеть (по умолчанию он включен), указать общую папку хоста (изолированные приложения по умолчанию не имеют доступа к ней), установить чтение / записывать разрешения в эту папку и / или запускать скрипт при запуске

Сначала откройте Блокнот или ваш любимый текстовый редактор и начните с нового текстового файла. Добавьте следующий текст:

Все параметры, которые вы добавите, должны находиться между этими двумя параметрами. Вы можете добавить только один вариант или их все — вам не обязательно включать все по отдельности. Если вы не укажете параметр, будет использоваться значение по умолчанию.

Как отключить виртуальный графический процессор или сеть

Как отмечает Microsoft, включение виртуального графического процессора или сети увеличивает возможности вредоносного ПО для выхода из песочницы. Поэтому, если вы тестируете что-то, что вас особенно беспокоит, было бы разумно отключить их.

Чтобы отключить виртуальный графический процессор, который включен по умолчанию, добавьте следующий текст в файл конфигурации.

Disable

Чтобы отключить доступ к сети, который включен по умолчанию, добавьте следующий текст.

Disable

Как сопоставить папку

Чтобы сопоставить папку, вам нужно точно указать, к какой папке вы хотите предоставить общий доступ, а затем указать, должна ли папка быть доступна только для чтения или нет.

Отображение папки выглядит так:

C:UsersPublicDownloadstrue

HostFolder — это место, где вы указываете конкретную папку, которой хотите поделиться. В приведенном выше примере папка Public Download, найденная в системах Windows, является общей. ReadOnly устанавливает, может ли песочница писать в папку или нет. Установите значение true, чтобы сделать папку доступной только для чтения, или false, чтобы сделать ее доступной для записи.

Просто имейте в виду, что вы, по сути, представляете риск для своей системы, связывая папку между вашим хостом и Windows Sandbox. Предоставление доступа для записи Sandbox увеличивает этот риск. Если вы тестируете что-то, что, по вашему мнению, может быть вредоносным, вам не следует использовать эту опцию.

Как запустить скрипт при запуске

Наконец, вы можете запускать созданные пользователем сценарии или основные команды. Вы можете, например, заставить песочницу открывать сопоставленную папку при запуске. Создание этого файла будет выглядеть так:

C:UsersPublicDownloadstrueexplorer.exe C:usersWDAGUtilityAccountDesktopDownloads

WDAGUtilityAccount является пользователем по умолчанию для песочницы Windows, поэтому вы всегда будете ссылаться на него при открытии папок или файлов как части команды.

К сожалению, в готовой к выпуску сборке Windows 10 May 2019 Update параметр LogonCommand не работает должным образом. Он вообще ничего не делал, даже когда мы использовали пример из документации Microsoft. Microsoft, скорее всего, скоро исправит эту ошибку.

Как запустить песочницу с вашими настройками

По завершении сохраните файл и дайте ему расширение .wsb. Например, если ваш текстовый редактор сохраняет его как Sandbox.txt, сохраните его как Sandbox.wsb. Чтобы запустить Windows Sandbox с вашими настройками, дважды щелкните файл .wsb. Вы можете разместить его на рабочем столе или создать для него ярлык в меню «Пуск».

Для вашего удобства вы можете загрузить этот файл DisabledNetwork, чтобы сэкономить вам несколько шагов. Файл имеет расширение txt, переименуйте его с расширением .wsb, и вы готовы к запуску Windows Sandbox.

Рекомендуем:  Как включить Песочницу Windows (и что это такое).

Песочница Windows — это изолированная временная среда рабочего стола, в которой вы можете запускать ненадежное программное обеспечение, не опасаясь вредоносного воздействия на ваш компьютер. Windows Sandbox теперь поддерживает простые файлы конфигурации (расширение .wsb), которые обеспечивают минимальную поддержку сценариев. Вы можете использовать эту функцию в последней сборке Windows с номером 18342.

Любое программное обеспечение, установленное в «песочнице» Windows, остается только в «песочнице» и не может повлиять на ваше устройство. Как только вы закроете Песочницу Windows, все установленное программное обеспечение со всеми его файлами и состоянием удаляется навсегда.

Песочница Windows обладает следующими свойствами:

• Часть Windows  — все необходимое для этой функции по умолчанию присутствует в Windows 10 Pro и Enterprise. Не нужно скачивать VHD!
• Чистота  — каждый раз, когда запускается Песочницу Windows, она так же чиста, как и новая установка Windows 10.
• Одноразовая  — на устройстве ничего не сохраняется; все удаляется после закрытия приложения
• Безопасная — использует аппаратную виртуализацию для изоляции ядра, которая использует гипервизор Microsoft для запуска отдельного ядра, которое изолирует Windows Sandbox от хоста
• Эффективная — использует встроенный планировщик ядра, интеллектуальное управление памятью и виртуальный графический процессор

Файлы конфигурации Песочницы Windows.

Чтобы настроить Песочницу Windows или автоматически запускать приложения и сценарии при старте, необходимо создать файл конфигурации. Для этого вы можете использовать Блокнот или любое другое приложение текстового редактора.

Файлы конфигурации песочницы имеют формат  XML и связаны с песочницей файлом с расширением .wsb. Каждый файл конфигурации, который вы создаете для Windows Sandbox, должен начинаться со строки <Configuration>  и заканчиваться строкой </Configuration>. Весь другой код, который вы собираетесь добавить, должен быть помещен между этими строками кода. Создав файл конфигурации и добавив в него нужный код, вы должны сохранить его, используя расширение файла .wsb. Затем вы можете дважды кликнуть созданный файл .wsb, чтобы запустить свою персональную песочницу Windows.

Файл конфигурации позволяет пользователю контролировать следующие аспекты Песочницы Windows:

1. vGPU (виртуализированный графический процессор)

• Включите или отключите виртуализированный графический процессор. Если vGPU отключен, Sandbox будет использовать  WARP  (программный растеризатор).

1. Сеть

• Включить или отключить сетевой доступ к песочнице.

1. Общие папки

• Делитесь папками с хоста (ваш ПК) с разрешениями на чтение или запись. Обратите внимание, что раскрытие директорий хоста может позволить вредоносному программному обеспечению повлиять на вашу систему или украсть данные.

1. Запуск скрипта

• Автоматическое действие после входа в песочницу.

Поддерживаемые параметры конфигурации:

Как включить или отключить виртуальный графический процессор в песочнице Windows.

VGpu Включает или отключает совместное использование GPU.

Поддерживаемые значения:

Disable –  отключить поддержку vGPU в песочнице. Если это значение установлено, будет использовать программный рендеринг, который может быть медленнее, чем ваш графический процессор.

Default — это значение по умолчанию для поддержки vGPU; это означает, что vGPU включен.

Windows Sandbox также позволяет отключить механизм рендеринга виртуального графического оборудования. Другими словами, песочница разделяет вашу видеокарту с Windows 10 по умолчанию. Однако вы можете отключить эту функцию и заставить ее использовать программный рендеринг. Несмотря на то, что она теперь работает медленнее, в некоторых ситуациях это может быть полезно. 

Чтобы отключить поддержку VGpu, в  файле .wsb добавьте следующий код:

<VGpu>Disable</VGpu>

Включить: 

VGpu>Default</VGpu>

Как включить или отключить сеть в Песочнице Windows.

Включает или отключает сеть в песочнице. Отключение доступа к сети может использоваться, чтобы уменьшить вероятность атаки для песочницы.

<Networking>value</Networking>

Disable –  отключить сеть в песочнице.

Default —  это значение по умолчанию для поддержки сети. Позволяет создавать сети путем создания виртуального коммутатора на вашем хосте и подключать к нему изолированную программную среду через виртуальный сетевой адаптер.

Примечание: Включение сетевых подключений может привести к тому, что ненадежные приложения окажутся в вашей внутренней сети.

MappedFolders

Оборачивает список объектов MappedFolder.

<MappedFolders>


list of MappedFolder objects


</MappedFolders>
 

Примечание: Файлы и папки, сопоставленные с хостом, могут быть скомпрометированы приложениями в изолированной программной среде или потенциально повлиять на хост.

Как поделиться папками с Песочницей Windows.

Задает одну папку на хост-компьютере, которая будет использоваться совместно на рабочем столе контейнера. Приложения в Песочнице запускаются под учетной записью пользователя «WDAGUtilityAccount». Следовательно, все папки отображаются по следующему пути: C: Users WDAGUtilityAccount Desktop.

Windows Sandbox может отображать папки хоста. Другими словами, вы можете сделать так, чтобы ваша песочница Windows «видела» папки, на вашем ПК с Windows 10. Например, «C:Test» будет отображаться как «C:usersWDAGUtilityAccountDesktopTest». Для этого в файл .wsb, созданный с помощью Блокнота, добавьте следующий код:

<MappedFolder>

    <HostFolder> путь к папке хоста </ HostFolder>

    <ReadOnly> значение </ ReadOnly>

</MappedFolder>

HostFolder: указывает папку на хост-машине для совместного использования в песочнице. Обратите внимание, что папка должна уже существовать, контейнер не запустится, если папка не найдена.

ReadOnly: при значении true обеспечивает доступ только для чтения к общей папке из контейнера. Поддерживаемые значения: true / false.

Примечание: Вы можете добавить столько папок для совместного использования, сколько хотите: просто убедитесь, что их пути указаны между тегами <HostFolder> </ HostFolder>. Кроме того, для каждой папки, которую вы добавляете в список, вы можете указать, хотите ли вы, чтобы песочница Windows имела к ней доступ только для чтения или для записи.

Как автоматически запустить приложение или скрипт в Windows Sandbox.

Песочница, также позволяет открывать приложение (исполняемый файл) или скрипт сразу после запуска. Чтобы сделать это, в файле конфигурации .wsb , вы должны добавить этот код:

<LogonCommand>

   <Command> команда для вызова </Command>

</LogonCommand>

Команда:  Командой может быть путь к любому исполняемому файлу или скрипту, доступному внутри песочницы Windows. Это означает, что вы можете, например, автоматически открывать Проводник, Блокнот или другие системные приложения.

Примечание: Хотя очень простые команды будут работать (запуск исполняемого файла или скрипта), более сложные сценарии, включающие несколько шагов, должны быть помещены в файл скрипта. Этот файл сценария может быть сопоставлен с контейнером через общую папку, а затем выполнен с помощью директивы LogonCommand.

Создать файл конфигурации

Создайте новый текстовый файл с расширением .wsb и скопируйте в него один из примеров.

Двойным кликом по созданному файлу * .wsb вы откроете его в песочнице Windows.

Пример файла конфигурации — 1.

Следующий файл конфигурации можно использовать для простого тестирования загруженных файлов внутри песочницы. Для этого сценарий отключает работу сети и vGPU а также в контейнере ограничивает общую папку «Загрузки» доступом только для чтения. Для удобства команда входа в систему открывает папку загрузок внутри контейнера при запуске.

Downloads.wsb

<Configuration>

<VGpu>Disable</VGpu>

<Networking>Disable</Networking>

<MappedFolders>

   <MappedFolder>

     <HostFolder>C:UsersPublicDownloads</HostFolder>

     <ReadOnly>true</ReadOnly>

   </MappedFolder>

</MappedFolders>

<LogonCommand>

   <Command>explorer.exe C:usersWDAGUtilityAccountDesktopDownloads</Command>

</LogonCommand>

</Configuration>

Пример файла конфигурации — 2.

Следующий файл конфигурации устанавливает код Visual Studio в контейнер, что требует немного более сложной настройки LogonCommand.

Две папки отображаются в контейнере; первый (SandboxScripts) содержит VSCodeInstall.cmd, который установит и запустит VSCode. Предполагается, что вторая папка (CodingProjects) содержит файлы проекта, которые разработчик хочет изменить с помощью VSCode.

С помощью сценария установщика VSCode, уже сопоставленного с контейнером, LogonCommand может ссылаться на него.

VSCodeInstall.cmd

REM Download VSCode

curl -L "https://update.code.visualstudio.com/latest/win32-x64-user/stable" --output C:usersWDAGUtilityAccountDesktopvscode.exe

REM Install and run VSCode

C:usersWDAGUtilityAccountDesktopvscode.exe /verysilent /suppressmsgboxes

<Configuration>

<MappedFolders>

   <MappedFolder>

     <HostFolder>C:SandboxScripts</HostFolder>

     <ReadOnly>true</ReadOnly>

   </MappedFolder>

   <MappedFolder>

     <HostFolder>C:CodingProjects</HostFolder>

     <ReadOnly>false</ReadOnly>

   </MappedFolder>

</MappedFolders>

<LogonCommand>

   <Command>C:userswdagutilityaccountdesktopSandboxScriptsVSCodeInstall.cmd</Command>

</LogonCommand>

</Configuration>

Теперь вам просто нужно дважды кликнуть Text.wsb и запустить Windows Sandbox. Преимущество этого состоит в том, что вы можете создать несколько конфигураций для того, как песочница должна быть запущена. На самом деле довольно практично. Можно только надеяться, что Microsoft затем со временем расширит возможности файла конфигурации.

Рекомендуем: Как установить Песочницу (Sandbox) в Windows 10 Home.

Windows Sandbox или встроенная песочница Windows 10 — один из самых полезных инструментов, появившихся в Windows 10 версии 1903 и выше. Песочница Windows 10 позволяет нам использовать изолированное окружение рабочего стола для запуска опасных приложений, по сути, заменяя виртуальные машины, используемые многими для этих целей.

Говоря простыми словами, вы можете скопировать в песочницу любой опасный исполняемый файл и запустит его без вреда для системы. После закрытия песочницы все ее файлы уничтожаются, а при новом открытии — создаются заново.

Главное преимущество песочницы перед виртуальными машинами — более быстрое время запуска, минимум настроек и наличие на любой системе Windows 10 Pro и Windows 10 Enterprise версии 1903 и выше. Большинство системных администраторов и опытных пользователей применяют песочницу по прямому назначению — для запуска подозрительных файлов, но сегодня я расскажу еще о паре способов ее применения, значительно повышающих приватность пользователя и его безопасность в интернете.

Активация песочницы Windows

Но для начала нужно активировать нашу песочницу. Сделать это можно разными способами, самый простой из которых — включение ее в компонентах Windows.

А можно включить Windows Sandbox в PowerShell, введя команду от имени администратора:

Отключить ее можно командой:

После перезагрузки песочница появится в меню Пуск под именем Windows Sandbox.

Cистемные требования для комфортной работы довольно низкие — рекомендуется процессор, имеющий четыре ядра с Hyperthreading и 8 Гб ОЗУ. Но главное — включение виртуализации в BIOS.

Применение песочницы Windows для запуска подозрительных программ

Самое простое и очевидно применение песочницы Windows — запуск потенциально опасных и подозрительных программ. Для этого просто скопируйте программу в окно песочницы и запустите. Для примера я скачал программу-розыгрыш Fly on Desktop 1.5 запакованную в YandexPackLoader.exe. Я бы не рискнул запустить подобное на своем ПК, и вот для таких случаев идеально подходит песочница Windows.

После запуска YandexPackLoader.exe никакой Fly on Desktop 1.5 я не получил, зато получил Яндекс-браузер и Алису, установившиеся без подтверждений.

Использование песочницы Windows для безопасного серфинга в интернете

Гораздо интереснее и полезнее для обычного пользователя станет возможность использования песочницы Windows для того, чтобы заходить на потенциально опасные сайты без вреда для системы. Например, я часто пользовался сайтом metagames.ru для поиска лучших игр, но с определенного момента браузер перестал пускать на этот сайт, предупреждая об опасности.

Но с песочницей посещение таких сайтов станет безопасным. Если вы не любите браузер EDGE, то можете скопировать в песочницу любой портабельный браузер и использовать его. Например, Opera portable. Главное, не использовать в таком браузере ваши логины и пароли, ведь они могут быть скомпрометированы.

При переходе на metagames.ru я понял, что сайт прекратил свое существование, а жаль, неплохая база игр была.

Повышение приватности с помощью песочницы Windows

После серфинга интернета мы оставляем множество следов на ПК и ноутбуке, которые очень тяжело скрыть. Не только историю браузера, но и файлы cookie, даже удалив которые выборочно, браузер и Google будут прекрасно помнить, кто мы, откуда и что смотрели.

И если вы решили тайком от жены купить GeForce RTX 3070, которые появились в наличие в Ситилинке, то нет никакой гарантии, что Google не начнет ей подсовывать рекламу видеокарт. И в этом может помочь песочница Windows — если серфить интернет из нее, все файлы cookie и история браузера исчезнут без возможности восстановления после ее закрытия.

Выводы

В результате мы имеем на системах с Windows 10 мощный инструмент, значительно повышающий приватность и безопасность, при этом бесплатный и шустрый в работе. Я считаю, что это одно из самых полезных нововведений, появившихся в Windows 10 за последнюю пару лет.

Пишите в комментарии, пользуетесь ли вы песочницей Windows 10?